Sudac u SAD-u je odobrio skupnu tužbu protiv Mete zbog praćenja zdravstvenih podataka pacijenata

Savezni sudac William H. Orrick iz Okružnog suda za sjeverni okrug Kalifornije certificirao je 30. listopada četiri skupine korisnika Facebooka u skupnoj tužbi protiv Mete. Tužitelji tvrde da je Metin tracking alat Meta Pixel prikupljao osjetljive zdravstvene podatke s web stranica i aplikacija zdravstvenih ustanova, među ostalim podatke o terminima, receptima i zdravstvenim stanjima.

Zbog certifikacije korisnici s odgovarajućim slučajevima otkrivanja podataka svoje zahtjeve mogu ostvarivati zajedno, umjesto da podnose pojedinačne tužbe. To nije utvrđivanje krivnje i članovima skupine ne daje pravo na naknadu.

Što se tvrdi

Meta Pixel je komad tracking koda koji zdravstveni pružatelji mogu ugraditi na svoje stranice i aplikacije radi mjerenja aktivnosti korisnika i boljeg oglašavanja. Pacijenti tvrde da su se podaci slali Meti kad su se prijavljivali u medicinske portale, rezervirali termine, plaćali račune ili koristili web stranice za recepte, te da su ti podaci mogli otkriti njihov identitet i zdravstvene aktivnosti.

Odvjetnička tvrtka Cohen Milstein, privremena suvoditeljica tužbe, kaže da su tužitelji pronašli najmanje 664 web lokacije bolnica ili zdravstvenih pružatelja u SAD-u s kojih je Meta primala podatke preko Pixela. Tužitelji tvrde i da je Meta preko svojih account managera znala da takve podatke dobiva bez znanja i pristanka pacijenata te bez valjanih HIPAA suglasnosti.

Tužba ne sadrži izravan zahtjev protiv Mete prema HIPAA-i. Sudac je naveo da je taj savezni zakon o zdravstvenoj privatnosti bitan za procjenu razumnih očekivanja privatnosti i Metinih ugovornih obećanja, ali da nije samostalna osnova za tužbu.

Tužitelji traže odštetu zbog kršenja ugovora, povrede implicitne obveze dobre vjere, zadiranja u privatnost te kršenja kalifornijskog zakona o pristupu računalnim podacima i prijevarama. Tri skupine uz to ističu zahtjeve prema saveznom Electronic Communications Privacy Actu i kalifornijskom Invasion of Privacy Actu.

Ograničenja odluke

Zahtjevi prema CIPA-i, odjeljak 631, traže povezanost s Kalifornijom i ne pokrivaju automatski sve korisnike u SAD-u. Skupina vezana uz zadiranje u uređaje mora se preraditi tako da izuzme prikupljanje podataka preko Metinog Conversions API-ja i učitavanja popisa kupaca, za koje su se tužitelji složili da nisu utjecali na uređaje korisnika.

Metina obrana

Meta osporava navode. Tvrdi da pružatelji zdravstvenih usluga i drugi vlasnici web stranica sami određuju kako instaliraju i konfiguriraju Pixel, da njezini Business Tools uvjeti traže da razvojni programeri imaju pravo dijeliti podatke te da zabranjuju slanje osjetljivih zdravstvenih podataka. Kaže i da ima filtre koji prepoznaju potencijalno osjetljive zdravstvene informacije, sprječavaju njihov ulazak u sustave za rangiranje i optimizaciju oglasa te upozoravaju developere.

Meta je također tvrdila da razlike u konfiguraciji stranica, pristanku pacijenata, zadržavanju podataka i učinkovitosti filtara onemogućuju zajedničke zahtjeve. Orrick je te argumente u fazi certifikacije odbio, uz obrazloženje da se oprečni stručni dokazi mogu osporavati na suđenju. Naveo je i da zbog Metinih pravila zadržavanja podataka najstariji dostupni zapisi za cijelu skupinu sežu tek do ožujka 2022., iako predloženo razdoblje počinje u lipnju 2018.

Tužitelji moraju u roku 10 dana od odluke predati izmijenjene definicije skupina, a zatim u roku 30 dana prijedlog plana obavještavanja članova, osim ako se stranke dogovore o produljenju rokova.